Уразливість виконання довільних шорткодів у плагіні WP-Recall для WordPress

Що відомо

Плагін WP-Recall для WordPress має уразливість, що дозволяє автентифікованим користувачам із рівнем доступу Subscriber і вище виконувати довільні шорткоди через відсутність перевірки прав на AJAX-ендпоінті 'rcl_preview_post'. Ця проблема присутня у всіх версіях до 16.26.10 включно.

Бізнес-вплив

Зловмисники з обліковим записом користувача можуть виконувати довільні шорткоди, що може призвести до несанкціонованих дій на сайті, включно з порушенням цілісності контенту або виконанням небажаних операцій. Це створює ризики для безпеки веб-ресурсу та може вплинути на довіру користувачів і репутацію бізнесу.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна WP-Recall від розробника та застосувати їх у першу чергу. Якщо оновлення недоступні, слід обмежити доступ користувачів із рівнем Subscriber і вище, провести аудит логів на предмет підозрілої активності та мінімізувати експозицію вразливого ендпоінта. Також варто розглянути тимчасове відключення плагіна до усунення проблеми.

Джерела

• NVD
• Reference
• Reference